Security Lab

Делегирование на уровне домена

Делегирование на уровне домена (domain-wide delegation, DWD) – это функция Google Workspace, которую администратор может использовать для предоставления приложению или сервисному аккаунту доступа к пользовательским данным в домене.

Цель состоит в том, чтобы предоставить определенным приложениям и учетным записям служб возможность доступа к данным пользователя, не требуя каждый раз явного разрешения от каждого пользователя. Например, администратор может делегировать такой доступ приложению, которое использует программный интерфейс приложения «Календарь» для добавления событий в календарь пользователя.

При этом служебный аккаунт с делегированными полномочиями может выдавать себя за любого пользователя, включая пользователей, имеющих доступ к Cloud Search.

Уязвимость DeleFriend: захват аккаунтов Gmail и Google Drive без контакта с пользователем

Исследователи нашли способ, как можно выдать себя за реального пользователя и захватить аккаунт.